Identitätsverwaltung in privaten und öffentlichen Clouds

Technik

Die technische Umsetzung eines IAM für Cloud-Anwendungen erfordert eine umfangreiche Planung. Dabei gilt es, eine sichere Datenübertragung zu gewährleisten, Schnittstellen und Protokolle festzulegen sowie die auszutauschenden Daten und deren Semantik zu definieren. Zudem ist zu klären, wie die Daten bei einer Kündigung der Cloud-Nutzung behandelt werden sollen.

Solche Überlegungen sind jedoch erst dann relevant, wenn die Themen Risikomanagement und Organisation geklärt sind, denn diese bestimmen die Auswahl der Tools und Technologien. Da Cloud-Dienste durch einen hohen Standardisierungsgrad gekennzeichnet sind, empfiehlt es sich, auch im IAM auf Standards wie Security Assertion Markup Language (SAML), Service Provisioning Markup Language (SPML) oder OAuth zu setzen. Einige Toolhersteller bieten zudem Out-of-the-Box-Konnektoren für typische Cloud-Anwendungen an, die die technische Anbindung solcher Dienste enorm vereinfachen.

IAM as a Service

Während der Einsatz von Cloud-Diensten oder mobilen Anwendungen früher aus Kostengründen einseitig positiv betrachtet wurde, haben die zahlreichen Sicherheitsvorfälle zu einer differenzierteren Bewertung geführt. Das gilt besonders in Hinblick auf IAM als wichtiges Rückgrat der Sicherheitsinfrastruktur einer Organisation. Hier sind die Möglichkeiten noch nicht ganz ausgereizt. So lässt sich IAM selbst as a Service (IAMaaS) aus der Cloud heraus beziehen - sei es durch vertrauenswürdige Anbieter wie etwa im Rahmen der Funktionalitäten des neuen Personalausweises, welcher eine Electronic-Identity- Funktion ermöglicht, oder in Form eines Public Identity Management as a Service. IAMaaS bringt zwar mehr Flexibilität und Kostenvorteile, eine umfassende Betrachtung von Risiken, organisatorischen Aspekten und technischer Gestaltung ist aber unverzichtbar. (sh)